Le portefeuille européen d'identité numérique arrive en décembre 2026 : comment s'y préparer

D'ici au 24 décembre 2026, chaque État membre de l'UE doit mettre à disposition de ses citoyens et résidents au moins un portefeuille européen d'identité numérique. C'est une obligation légale assortie d'une date, pas un point de feuille de route.

Un an plus tard, en décembre 2027, une longue liste d'organisations sera légalement tenue de l'accepter. Banques, opérateurs de transport, fournisseurs d'énergie, services de santé, télécoms, services postaux, établissements d'enseignement et opérateurs d'infrastructure numérique figurent sur cette liste, avec toute autre entité déjà tenue d'utiliser une authentification forte.

Pour tous les autres, l'acceptation est facultative. Cela vaut quand même la peine de comprendre, car le portefeuille résout plusieurs problèmes pour lesquels les entreprises dépensent aujourd'hui de l'argent réel, et mal.

Ce qu'est réellement le portefeuille

Le portefeuille européen d'identité numérique découle du règlement eIDAS révisé, généralement appelé eIDAS 2. C'est une application mobile qui contient des attributs d'identité vérifiés et des attestations, délivrés par des parties de confiance, qu'un utilisateur peut présenter de manière sélective à qui les demande.

Trois propriétés le distinguent des systèmes d'identité que la plupart des sites utilisent aujourd'hui.

Il est adossé à l'État. L'identité contenue dans le portefeuille dérive d'un schéma national d'identité électronique. Ce n'est pas un profil auto-déclaré.

Il permet la divulgation sélective. Un utilisateur peut prouver qu'il a plus de dix-huit ans sans révéler sa date de naissance, ou prouver sa résidence dans un État membre sans révéler son adresse. C'est la partie qui a le plus de conséquences pratiques sur la conception produit.

Il fonctionne au-delà des frontières. Un portefeuille délivré en Slovénie doit être accepté par les parties utilisatrices en Allemagne. C'est tout l'objet du règlement, et c'est précisément ce que les schémas nationaux n'ont jamais réussi à offrir.

À côté des portefeuilles citoyens, la Commission a proposé un portefeuille d'entreprise européen pour les personnes morales, axé sur la représentation, les mandats et l'échange de documents officiels entre entreprises et administrations. Cette proposition est arrivée avec le paquet Digital Omnibus en novembre 2025 et chemine au Parlement, le projet de rapport du rapporteur ayant été publié en mars 2026. C'est plus lointain, mais c'est le dossier à surveiller si votre produit touche à l'identité d'entreprise, aux mandats ou à l'échange documentaire interentreprises.

Où en est réellement la mise en œuvre

La maturité varie énormément selon les États membres, et il faut être réaliste là-dessus.

Plusieurs pays ont livré des implémentations nationales avant l'échéance. La France a France Identité, l'Autriche a eAusweise, l'Italie a IT-Wallet. D'autres sont plus en retard, et certains atteindront l'échéance de décembre 2026 avec une première version limitée plutôt qu'un ensemble complet de fonctionnalités.

Les États membres peuvent satisfaire l'obligation de trois façons : construire et délivrer eux-mêmes un portefeuille, mandater un tiers pour le faire, ou reconnaître un portefeuille construit par le secteur privé. Cela signifie que l'écosystème avec lequel vous intégrerez ne sera pas uniforme, ce qui explique précisément l'importance des spécifications d'interopérabilité.

Le rôle de partie utilisatrice

Si vous voulez accepter des attestations du portefeuille, vous devenez partie utilisatrice, et c'est un rôle enregistré, pas informel.

Le processus, en résumé :

1. S'enregistrer auprès du registre national. Vous déclarez quels attributs vous comptez demander et à quelle fin. C'est un vrai contrôle, pas un formulaire. Vous ne pouvez pas vous enregistrer pour demander l'ensemble complet des données d'identité d'un citoyen au motif que cela pourrait servir un jour.
2. Obtenir les certificats d'accès de partie utilisatrice. Ils vous authentifient auprès des portefeuilles et permettent aux utilisateurs de voir qui demande.
3. Implémenter les protocoles de présentation. Demander des attestations, recevoir une présentation, la vérifier.
4. Vérifier cryptographiquement. Validation de signature, validation de la chaîne de confiance contre la liste de confiance de l'UE, vérification de révocation.
5. Demander le minimum. La minimisation des données est ici imposée structurellement. Si vous êtes enregistré pour vérifier l'âge, vous pouvez demander une assertion d'âge, pas une date de naissance.

Ce dernier point mérite d'être souligné, car il inverse l'intégration d'identité habituelle. Dans la plupart des systèmes, vous recevez une charge utile et décidez ce que vous gardez. Ici, vous déclarez à l'avance ce que vous pouvez demander, et l'architecture vous empêche de surcollecter. C'est un modèle réellement meilleur, et cela raccourcit sensiblement votre analyse d'impact relative à la vérification d'identité.

Les standards que vous rencontrerez

La pile technique s'appuie sur plusieurs spécifications, et si vous cadrez un chantier, voici les acronymes qui apparaîtront :

• ISO/IEC 18013-5, la norme du permis de conduire mobile, qui fournit le modèle de présentation en proximité et une bonne part de la réflexion sur les formats d'attestation.
• W3C Verifiable Credentials, pour le modèle de données des attestations.
• OpenID for Verifiable Presentations et OpenID for Verifiable Credential Issuance, pour les flux de demande et d'émission sur le web.
• SD-JWT, pour la divulgation sélective de revendications individuelles.
• Le EUDI Architecture and Reference Framework, publié par la Commission, qui relie tout cela et que vous devriez lire avant toute estimation.

Rien de tout cela n'est exotique si votre équipe a travaillé avec OpenID Connect. C'est toutefois sensiblement différent d'une intégration de connexion SAML ou OIDC, car vous vérifiez des attestations cryptographiquement au lieu de faire confiance à l'assertion de session d'un fournisseur d'identité.

Là où le portefeuille résout un vrai problème

Conformité mise à part, il y a plusieurs endroits où c'est simplement mieux que ce qui existe aujourd'hui.

Vérification de l'âge

C'est le cas d'usage le plus immédiat, et il est fortement poussé. La Commission européenne presse les États membres de disposer de solutions de vérification de l'âge d'ici au 31 décembre 2026, et a publié une application de vérification d'âge en source ouverte comme passerelle en attendant une large disponibilité des portefeuilles. L'objectif de conception est qu'une plateforme ne reçoive qu'un jeton d'âge, un oui ou un non, sans date de naissance ni autre attribut.

Si vous exploitez quoi que ce soit avec une restriction d'âge, alcool, jeux d'argent, contenu pour adultes, certains produits financiers, ou une plateforme soumise aux attentes du règlement sur les services numériques en matière de protection des mineurs, c'est le mécanisme qui vous permet de vérifier l'âge sans constituer une base de documents d'identité scannés. Cette base est un passif que vous portez aujourd'hui sans bonne raison.

Enrôlement et KYC

L'enrôlement réglementé signifie aujourd'hui téléversement de documents, contrôles de vivacité, revue manuelle et file d'attente. Une présentation de portefeuille remplace cela par une vérification cryptographique qui se termine en quelques secondes, avec un niveau d'assurance plus élevé et sans images de documents à conserver.

Pour les banques, les assureurs, les services crypto et tous ceux qui font du KYC, l'écart de coût est significatif. Cela supprime aussi le jeu de données le plus sensible que la plupart des entreprises détiennent.

Services transfrontaliers

Si vous servez des clients dans plusieurs États membres, vous maintenez aujourd'hui des intégrations avec une mosaïque de schémas nationaux, ou vous renoncez et scannez des documents partout. Une seule intégration de portefeuille les couvre tous.

Moins de friction dans les formulaires

Nom, adresse et coordonnées vérifiés présentés en une action au lieu d'être saisis dans un formulaire. C'est un gain de conversion autant qu'un gain de qualité de données.

Que faire maintenant

La réponse honnête pour la plupart des entreprises est : pas grand-chose encore, mais quelques actions sont peu coûteuses et utiles.

Si vous êtes une partie utilisatrice assujettie, avec une échéance en décembre 2027, commencez maintenant. Les processus d'enregistrement sont nouveaux et lents, les implémentations nationales varient, et vous voudrez piloter sur un marché avant de vous engager. Douze mois ne sont pas généreux pour une intégration réglementée.

Si vous n'êtes pas assujetti mais faites de la vérification d'âge, examinez sérieusement cela dans les prochains trimestres. Stocker des documents d'identité pour vérifier si quelqu'un a dix-huit ans est un mauvais échange, et il existe désormais une alternative.

Si vous faites du KYC ou de la vérification d'identité, modélisez l'économie. D'après notre expérience, l'argument économique tient seul, sans aucun argument de conformité.

Si rien de ce qui précède ne s'applique, faites une chose : assurez-vous que votre couche d'identité est abstraite. Si votre code applicatif appelle un service d'authentification plutôt que le SDK d'un fournisseur précis, ajouter la prise en charge du portefeuille plus tard sera un nouvel adaptateur. Si votre logique de connexion est éparpillée dans des contrôleurs, c'est une réécriture.

Ce qui va mal se passer

D'après la façon dont ces déploiements se déroulent habituellement, attendez-vous à ceci.

Disponibilité inégale. Certains États membres lanceront avec des fonctionnalités limitées. Construisez pour le cas où un utilisateur dans un pays dispose d'un portefeuille complet et un autre non, et gardez votre chemin de repli existant.

Adoption lente par les utilisateurs. Disponibilité n'est pas usage. Même dans les pays dotés de schémas eID nationaux matures, la pénétration a pris des années. Ne supprimez pas les parcours alternatifs.

Friction d'enregistrement. Les procédures des registres nationaux sont nouvelles. Prévoyez plus de temps que ne le suggère la documentation.

Dérive des spécifications. L'Architecture and Reference Framework a été révisé à plusieurs reprises et le sera encore. Isolez le traitement des protocoles derrière une interface pour qu'une mise à jour de spécification ne touche pas votre logique métier.

Où cela s'inscrit

Le portefeuille est l'une des pièces les plus constructives de l'agenda numérique européen actuel. La plupart du reste impose des obligations. Celle-ci, une fois qu'elle fonctionne, supprime toute une catégorie d'infrastructure coûteuse et risquée que les entreprises construisent aujourd'hui faute d'alternative.

Notre guide de la conformité numérique européenne 2026 montre comment il se place à côté des autres échéances, et le guide RGPD orienté ingénierie couvre la couche de protection des données que tout travail d'identité doit satisfaire.

Nous construisons des systèmes d'authentification et d'identité pour des entreprises opérant dans l'UE, et nous travaillons aujourd'hui sur des intégrations de partie utilisatrice. Si vous voulez de l'aide pour cadrer ce que l'acceptation du portefeuille représenterait dans votre pile, ou si vous avez une obligation en décembre 2027 sans plan, écrivez à office@c9group.dev. Plus d'informations sur notre travail européen sur la page d'entrée sur le marché européen.